Dijital delillerin bütünlüğü, tanımlanmış bir dijital veri kümesinin belgelenmiş bir referans durumuna kıyasla doğrulanabilir şekilde değiştirilmemiş olmasını tanımlar. Dijital adli tıpta, incelenen verilerin hala güvenli duruma karşılık gelip gelmediğini veya bu arada değiştirilip değiştirilmediğini daha sonra belirlemek için temel bir ön koşuldur.

Bu sadece dosyalarla ilgili değil. Dijital kanıtlar, örneğin, adli bir sabit disk görüntüsü, akıllı telefon verilerinden çıkarılan veriler, bir veritabanı, bir e-posta arşivi, bir bellek dökümü, bir günlük dosyası veya dışa aktarılmış bir bulut veri kümesi içerebilir.

Ancak bütünlük, otomatik olarak özgünlük, gerçeklik veya yazarlık anlamına gelmez. Teknik olarak değiştirilmemiş bir veri seti, yedeklenmeden önce bile manipüle edilmiş olabilir. Bu nedenle, BT adli bilişiminde, bütünlük kontrolüyle gerçekten kanıtlanabilenler ile kanıtlanamayanlar arasında kesin bir ayrım yapılmalıdır.

Dijital kanıtların bütünlüğü ne anlama gelir?

Basitçe ifade etmek gerekirse, bütünlük, belirli bir zaman noktasından beri belirli miktarda verinin değiştirilmemiş olması anlamına gelir.

Bu an çok önemlidir. Örneğin, bir sabit diskten adli bir görüntü oluşturulursa ve hemen ardından kriptografik bir karma değeri hesaplanırsa, doğrulanabilir bir referans durumu oluşturulur.

Aynı görüntü daha sonra aynı karma algoritması kullanılarak tekrar kontrol edildiğinde aynı karma değeri elde edilirse, bu durum kontrol edilen veri setinin orijinal hesaplamadan bu yana değişmediğini güçlü bir şekilde gösterir.

Bütünlük testi, bu nedenle belirli bir veri kümesini belirli bir belgelenmiş durumla ilişkilendirir.

Dijital kanıtların bütünlüğü neden bu kadar önemli?

Dijital bilgiler, geleneksel fiziksel delillere kıyasla çok daha kolay değiştirilebilir. Bir dosya, dışarıdan görünür olmadan kopyalanabilir, üzerine yazılabilir, silinebilir veya düzenlenebilir.

İstem dışı değişiklikler de mümkündür. İşletim sistemleri meta veriler yazar, uygulamalar geçici dosyalar oluşturur ve bağlı depolama aygıtları otomatik sistem süreçleri tarafından değiştirilebilir.

Dolayısıyla adli bir soruşturma sadece ilginç dijital izler bulmakla kalmamalı, aynı zamanda analizin hangi veri kümesine dayandığını da anlaşılır kılmalıdır.

Bu bağlantı olmadan, bir bulgunun asıl inceleme nesnesinde zaten mevcut olup olmadığı veya daha sonraki bir işlem sırasında ortaya çıkıp çıkmadığı sorusu daha sonra gündeme gelebilir.

Dürüstlük, asıl analizden önce başlar.

Yaygın bir yanılgı, bütünlüğü yalnızca karma değerinin hesaplanmasıyla ilişkilendirmektir. Gerçekte, dijital kanıtların korunması çok daha önce başlar.

Cihazın edinilme şekli, çalışma durumu, yedekleme yönteminin seçimi ve orijinal dosyanın nasıl ele alındığı bile daha sonra incelenecek verileri etkileyebilir.

Örneğin, kontrollü yazma koruması olmayan klasik bir sabit disk normal bir işletim sistemine bağlandığında, otomatik yazma işlemleri gerçekleşebilir.

Sonrasında hesaplanan karma değer, sonrasında var olan durumu güvenilir bir şekilde belgeleyebilir. Ancak, önceki değişiklikleri geri almaz.

Referans durumu nedir?

Referans durumu, sonraki bütünlük kontrollerinin gerçekleştirildiği tanımlanmış veri durumudur.

Pratikte bu, örneğin, adli incelemeden hemen sonra oluşturulan bir görüntü olabilir.

Bu veri seti için bir karma değer belgelenmiştir. Bu değer daha sonra referans olarak kullanılabilir.

Referans değerinin hangi veri kümesini tanımladığının açıkça belirtilmesi önemlidir.

Dijital kanıtların bütünlüğü nasıl kontrol edilir?

Önemli bir yöntem, kriptografik karma fonksiyonlarının kullanılmasıdır. Bu, tanımlanmış bir veri kümesinden matematiksel bir sağlama toplamının hesaplanmasını içerir.

Modern adli soruşturmalarda, örneğin SHA-256 kullanılabilir.

Aynı veri kümesinden daha sonra aynı SHA-256 değeri tekrar oluşturulursa, bu değerin referans durumuna göre değişmediğini doğrulamak için kullanılabilir.

Bu nedenle karma değerler yalnızca bir belgeleme formalitesi değil, aynı zamanda teknik olarak doğrulanabilir bir delil koruma bileşenidir.

Özdeş karma değeri neyi kanıtlar?

Uygun bir modern karma fonksiyonu kullanıldığında, aynı kriptografik karma değerinin elde edilmesi, kontrol edilen veri kümelerinin bit düzeyinde özdeş olduğunu güçlü bir şekilde göstermektedir.

Bu, örneğin, arşivlenmiş adli bir görüntünün orijinal olarak belgelenmiş görüntüyle hala eşleşip eşleşmediğinin doğrulanmasına olanak tanır.

Ancak, karma değeri bize verilerin ilk karma hesaplamasından önce zaten değiştirilip değiştirilmediğini söylemez.

Bir karma değeri neyi kanıtlamaz?

Bir karma değer, bir dosyanın içeriğinin doğru olduğunu kanıtlamaz. Ayrıca, bir dosyayı kimin oluşturduğunu, değiştirdiğini veya sildiğini de kanıtlamaz.

Ayrıca, bir belgenin orijinal olup olmadığını kendi başına belirleyemez.

Karma değeri, çok daha dar kapsamlı bir teknik soruyu yanıtlar: Kontrol edilen veri kümesi, belgelenmiş referans değerinin oluşturulduğu veri kümesiyle tamamen aynı mı?

Dürüstlük ve özgünlük aynı şey değildir.

Bu ayrım özellikle dijital kanıtlar için önemlidir.

Bütünlük, bir veri kümesinin referans durumuna kıyasla değişmemiş halini tanımlar.

Öte yandan özgünlük, kökenini veya gerçekliğini ifade eder.

Örneğin, üzerinde oynanmış bir PDF dosyası bir uzmana teslim edilebilir ve sonrasında adli olarak uygun şekilde güvence altına alınabilir. Bu noktadan itibaren, dosyanın bütünlüğü güvenilir bir şekilde doğrulanabilir.

Ancak, aynı karma değer, PDF dosyasının teslim edilmeden önce hiçbir şekilde değiştirilmediğini kanıtlamaz.

Dürüstlük ve delil değeri aynı şey değildir.

Tamamen değişmemiş bir veri seti, belirli bir soru için anlamsız olabilir.

Öte yandan, teknik açıdan önemli bir bulgu mevcut olabilir ancak belgelendirme geçmişi optimal olmayabilir.

Dolayısıyla bütünlük, veritabanının bir kalite özelliğidir, ancak belirli bir eserin delil niteliği hakkında otomatik bir ifade değildir.

Delil niteliği ancak davanın özel bağlamı içindeki mesleki sınıflandırma yoluyla ortaya çıkar.

Bir ekran görüntüsünün bütünlüğün kanıtı olarak yeterli olmamasının nedeni nedir?

Ekran görüntüsü, yalnızca belirli bir ekran içeriğinin görsel bir temsilini belgelemektedir.

Genellikle altta yatan veri yapılarının tamamını içermez ve kaynak sistemin kapsamlı bir teknik bütünlük kontrolüne olanak sağlamaz.

Örneğin, bir mesajlaşma uygulamasındaki sohbette, ekran görüntüsü konuşmanın görünür bir bölümünü gösterebilir. Ancak, otomatik olarak altta yatan veritabanını, dahili mesaj tanımlayıcılarını, sistem bilgilerini veya diğer meta verileri içermez.

Bu nedenle ekran görüntüsü ilgili bir belge olabilir, ancak orijinal verilerin adli yedeğine eşdeğer değildir.

Normal bir dosya kopyalama işlemi neden otomatik olarak adli yedekleme olarak kabul edilmiyor?

Standart bir dosya kopyalama işlemi, seçilen dosyaların içeriğini doğru bir şekilde aktarabilir. Ancak, bir soruşturma için önemli olan depolama durumunun tamamını mutlaka yansıtmaz.

Silinen veri alanları, dosya sistemi bilgileri ve diğer teknik kalıntılar eksik olabilir.

Ayrıca, dosyaların ne zaman kopyalandığının ve kopyalama işleminden önce herhangi bir değişiklik yapılıp yapılmadığının izlenebilmesi de mümkün olmalıdır.

Kopyalanan dosyaların bütünlüğü daha sonra karma değerler kullanılarak kontrol edilebilir. Ancak bu, orijinal dosya seçiminden tam bir adli veri disk yedeklemesi oluşturmaz.

Bit tabanlı yedeklemenin önemi nedir?

Geleneksel veri depolama ortamlarında, sektör bazlı veya blok bazlı yedekleme, adreslenebilir depolama alanının kapsamlı bir temsilini oluşturabilir.

Daha sonra analiz, yedeklenen bu veri seti üzerinde gerçekleştirilebilirken, orijinal veri seti mümkün olduğunca dokunulmadan kalır.

Bu, soruşturmanın orijinal veri taşıyıcısını değiştirme riskini azaltır.

Yazma engelleyiciler neden kullanılır?

Yazma engelleyici, bir araştırma bilgisayarının orijinal veri taşıyıcısına yazma komutları iletmesini önlemek için tasarlanmıştır.

Bu önemlidir çünkü işletim sistemleri, bir depolama aygıtı bağlandığında yazma işlemlerini bağımsız olarak gerçekleştirebilir.

Donanım veya uygun yazılım tabanlı yazma koruması bu riski azaltabilir.

Ancak, yazma engelleyiciler her tür cihaz için uygun değildir. Akıllı telefonlar, lehimli bellekler veya canlı sistemler farklı yedekleme stratejileri gerektirir.

Yazma engelleyiciye rağmen kanıtlar değiştirilebilir mi?

Doğru şekilde uygulanan bir yazma engelleyici, kontrollü veri yolu üzerinden yazma komutlarını engeller. Ancak, akla gelebilecek her bütünlük sorununu çözmez.

Örneğin, dahili denetleyici süreçleri flaş bellekte rol oynayabilir. Dahası, yazma engelleyiciye bağlantı kurulmadan önce hatalar zaten meydana gelmiş olabilir.

Bu nedenle yazma engelleyici, daha geniş bir adli süreç içindeki teknik bir koruma aracıdır.

HDD bağlamında bütünlük ne anlama gelir?

Geleneksel manyetik sabit disklerde, mantıksal olarak adreslenebilir depolama alanı genellikle sektör sektör çok kapsamlı bir şekilde yedeklenebilir.

Orijinal dosya, edinme işlemi sırasında yazma erişimine karşı korunursa ve elde edilen görüntü daha sonra doğrulanırsa, soruşturma için yüksek oranda tekrarlanabilir bir temel oluşturulmuş olur.

Ancak, okuma hataları veya hasarlı alanlar mutlaka belgelenmelidir.

SSD bağlamında bütünlük ne anlama gelir?

SSD'lerde durum daha karmaşık. İşletim sistemi ile fiziksel flash bellek hücreleri arasında kendi bellek yönetimine sahip bir denetleyici çalışıyor.

TRIM, Çöp Toplama ve Aşınma Dengeleme, verilerin iç organizasyonunu etkiler.

Dolayısıyla adli bir görüntü, yakalanan mantıksal verilerin bütünlüğünü belgeleyebilir. Ancak bu, her fiziksel flash hücresinin değiştirilmemiş veya anında erişilebilir olduğu anlamına gelmez.

Bu ayrım SSD'ler için neden önemlidir?

"Orijinal durum" terimi, modern depolama ortamlarına atıfta bulunulurken yanlış anlaşılabilir.

Bir SSD, dahili depolama organizasyonunu kısmen bağımsız olarak değiştirebilir. Bu nedenle, belirli verilerin fiziksel konumu, işletim sisteminin görebildiği mantıksal adresle kalıcı olarak örtüşmeyebilir.

Bu nedenle adli dokümantasyon, hangi veri katmanının gerçekten güvenli hale getirildiğini tam olarak açıklamalıdır.

Akıllı telefonlar bağlamında dürüstlük ne anlama geliyor?

Akıllı telefonlar özel bir zorluk teşkil ediyor. Modern cihazlar donanım tabanlı şifreleme, güvenli anahtar yönetimi ve karmaşık işletim sistemi mekanizmaları kullanıyor.

Bu nedenle, çıkarılan bir HDD ile yapılan klasik sektör sektör yedekleme işlemi genellikle mümkün değildir.

Bütünlük, gerçekten çıkarılan veri kümesine atıfta bulunmalıdır. Hangi cihazın incelendiği, hangi çıkarma yönteminin kullanıldığı ve bunun sonucunda hangi veri kümesinin elde edildiği belgelendirilmelidir.

Akıllı telefon taramasının cihazın durumunu neden değiştirebileceği sorusu akla geliyor.

Açık bir akıllı telefon dinamik bir sistemdir. Arka plan işlemleri çalışmaya devam eder, kayıtlar güncellenebilir ve uygulamalar verileri değiştirebilir.

Bir soruşturma bilgisayarıyla bağlantı kurulması, teknik durumda da değişikliklere yol açabilir.

Bazı veri toplama yöntemleri, cihazla belirli kontrollü etkileşimler gerektirir.

Dolayısıyla mesleki dürüstlük, orijinal cihazdaki tek bir bitin bile hiçbir koşulda değiştirilemeyeceği gibi gerçekçi olmayan bir iddia anlamına gelmez. Önemli olan, değişikliklerden mümkün olduğunca kaçınmak ve gerekli veya teknik olarak kaçınılmaz müdahaleleri izlenebilir bir şekilde belgelemektir.

Çalışan bir bilgisayar için bütünlük ne anlama gelir?

Çalışan bir bilgisayar bile sürekli değişmektedir. RAM, geçici dosyalar, olay günlükleri ve ağ durumları saniyeler içinde değişebilir.

Dolayısıyla, canlı adli incelemelerde tamamen statik bir başlangıç ​​durumu teknik olarak elde edilemez.

Buradaki görev, mümkün olduğunca kontrollü müdahalelerle gerekli verileri elde etmek ve bu müdahaleleri izlenebilir bir şekilde belgelemektir.

Bilgisayarı kapatmak delillerin bütünlüğünü neden etkileyebilir?

Kapatma işlemi, işletim sisteminin normal faaliyetlerini durdururken aynı zamanda RAM'deki geçici verileri de yok eder.

Ayrıca, şifrelenmiş sistemlerde, şu anda şifresi çözülmüş olan durum kaybolabilir.

Dolayısıyla, "cihazı derhal kapatın" ifadesi, adli tıp alanında evrensel olarak doğru bir kural değildir.

Karar, sistemin durumu ve araştırılan konu dikkate alınarak verilmelidir.

RAM verilerinde bütünlük ne anlama gelir?

RAM uçucu bir bellektir ve çalışma sırasında sürekli değişir.

Dolayısıyla bir RAM görüntüsü, belirli bir yedekleme işlemi sırasında elde edilebilecek belirli bir durumu belgelemektedir.

Oluşturulan bellek dökümünün karma değeri daha sonra bütünlüğünün devam ettiğini doğrulamak için kullanılabilir.

Ancak, çalışma belleğinin edinme sürecinde değişmediğini kanıtlayamaz.

Bulut verileri için bütünlük ne anlama gelir?

Bulut hizmetlerinde, bir araştırmacının genellikle sağlayıcının fiziksel depolama ortamlarına doğrudan erişimi olmaz.

Bunun yerine yedekleme, örneğin bir API, hesap dışa aktarma veya sağlanan diğer arayüzler aracılığıyla gerçekleştirilir.

Bu nedenle bütünlük dokümantasyonu, gerçekten alınan verilere odaklanmalıdır.

İlgili faktörler arasında kaynak, hesap, yedekleme zamanı, kullanılan yöntem ve oluşturulan dosyalar yer almaktadır.

Bulut depolama sabit diskinin fiziksel bütünlüğünü doğrulamak mümkün mü?

Genellikle doğrudan dışarıdan bir araştırmacı olarak değil.

Bu nedenle, kişinin kendi adli beyanı, yalnızca gerçekten erişilebilir ve güvenliği sağlanmış veri düzeyiyle sınırlı olmalıdır.

Soruşturmanın profesyonel kalitesini artıran da tam olarak bu şeffaf sınırlandırmadır.

E-postalarda dürüstlük ne anlama gelir?

E-postalar için bütünlük kontrolleri farklı seviyelerde olabilir.

Örneğin, dışa aktarılan bir mesaj EML dosyası olarak özetlenebilir. Benzer şekilde, eksiksiz bir posta kutusu arşivi yedeklenebilir ve bir veri kümesi olarak denetlenebilir.

Bu dosyanın karma değeri, dosyanın değiştirilmemiş halini belgelendirir, ancak orijinal gönderenin kimliğini otomatik olarak kanıtlamaz.

Bu, e-posta başlıkları, sunucu verileri ve diğer teknik izler gibi ek bilgiler gerektirebilir.

Günlük dosyalarında bütünlük ne anlama gelir?

Siber olaylarda, veri sızıntılarında veya yetkisiz erişimde log dosyaları önemli bir rol oynayabilir.

İlgili günlükler dışa aktarıldığında, bunların hangi sistemden geldiği, ne zaman yedeklendiği ve dışa aktarılan verilerin daha sonra değiştirilip değiştirilmediği takip edilebilmelidir.

Bir karma değer, güvenli dışa aktarımın bütünlüğünü doğrulayabilir.

Ancak, yedeklemeden önce orijinal kayıt sistemine hiçbir şekilde müdahale edilmediğini kendi başına kanıtlayamaz.

Veritabanlarında bütünlük ne anlama gelir?

Veritabanları genellikle dinamik sistemlerdir. Çalışma sırasında veri kayıtları değiştirilir, indeksler güncellenir ve işlemler gerçekleştirilir.

Dolayısıyla adli yedekleme işleminde, tutarlı bir kopyanın, dışa aktarımın veya tanımlanmış başka bir veritabanının oluşturulup oluşturulmadığı dikkate alınmalıdır.

Oluşturulan bu envanter daha sonra referans durum olarak ele alınabilir ve örneğin karma değerler aracılığıyla güvence altına alınabilir.

Delillerin saklanma zincirinin rolü nedir?

Tedarik zinciri takibi, teknik bütünlük kontrolünü kurumsal izlenebilirlikle tamamlar.

Bir karma değer, belirli bir veri kümesinin değişmeden kaldığını gösterebilir. Ancak, kanıtı kimin aldığını, taşıdığını, sakladığını veya incelediğini söylemez.

Deliller zinciri bu olayları belgeliyor.

Bu nedenle teknik bütünlük ve delillerin takibi birbirine karıştırılmamalıdır.

Eksik hash değerlerinin yerini kusursuz bir takip zinciri alabilir mi?

Hayır. Dikkatli devir teslim dokümantasyonu ve teknik bütünlük kontrolü farklı işlevlere hizmet eder.

Bir dizi kanıt, bir görüntüyü kimin sakladığını mükemmel bir şekilde belgeleyebilir. Ancak, teknik doğrulama bilgisi olmadan, içerdiği verilerin değişmeden kaldığı otomatik olarak sonucuna varılamaz.

Öte yandan, aynı karma değer, verilere kimin erişimi olduğunu açıklayamaz.

Orijinal belgenin mümkün olan en güvenli şekilde saklanması neden önemlidir?

Başarılı bir şekilde muhafaza edildikten sonra, orijinal deliller veya birincil adli deliller referans olarak saklanabilir.

Analiz, teknik olarak mümkün olduğu ölçüde, çalışma kopyası üzerinde gerçekleştirilir.

Bu, analiz programlarının arşivlenmiş referans yedeğini değiştirmeden dosya oluşturmasına, dizin oluşturmasına veya diğer işlem adımlarını gerçekleştirmesine olanak tanır.

Çalışma kopyası neden faydalıdır?

Adli analiz programları büyük miktarda veriyi işler ve genellikle kendi veritabanlarını, indekslerini, önizleme dosyalarını ve soruşturma sonuçlarını oluşturur.

Ayrı bir çalışma ortamı, bu tür analiz süreçlerinin değiştirilmemiş referans yedeklemeyle karışmasını önler.

Daha sonra yeni bir analiz gerekirse, orijinal yedeklemeden tekrar bir çalışma tabanı oluşturulabilir.

Yedekleme dosyasının karma değeri değişirse ne olur?

Başlangıçtaki farklı bir karma değeri, yalnızca kontrol edilen iki veri setinin farklı olduğu anlamına gelir.

Bu önemli bir uyarı işareti, ancak henüz bir açıklama değil.

Bunun nedeni gerçek bir değişiklik, bozuk bir dosya, iletim hatası, farklı bir kapsayıcı yapısı veya basitçe farklı veri alanlarının karma işlemine tabi tutulmuş olması olabilir.

Bu nedenle sapmanın teknik olarak incelenmesi gerekmektedir.

Farklı bir karma değeri otomatik olarak manipülasyon kanıtı anlamına gelir mi?

Hayır.

İlk olarak, karşılaştırılan veri kümelerinin özdeş olmadığını, aynı karma fonksiyonunun karşılaştırılabilir verilere doğru şekilde uygulanması koşuluyla kanıtlıyor.

Aralarındaki farkın nedeni yalnızca karma değerine bakılarak belirlenemez.

Yedekleme sırasında okuma hataları oluşursa ne olur?

Hasar görmüş veri taşıyıcıları, okunamayan veya yalnızca güvenilir olmayan şekilde okunabilen sektörler içerebilir.

Adli analiz, veri taşıyıcısının önemli bir bölümünü yine de yakalayabilir.

Okuma hatalarının belgelenmesi ve kullanılan aracın okunaksız alanlarla nasıl başa çıktığının izlenebilir kalması çok önemlidir.

Oluşturulan görüntünün karma değeri daha sonra bütünlüğünü kontrol etmek için kullanılabilir. Ancak bu, daha önce okunamayan sektörlerin başarıyla okunduğunu kanıtlamaz.

Hasar görmüş bir görüntü hâlâ sağlam kabul edilebilir mi?

Evet, eğer "tam sayı" ifadesi dosyanın belirli bir zaman referans noktasından beri değişmeden kaldığı anlamına geliyorsa.

Zaten eksik veya hasar görmüş bir yedekleme, sabit bir karma değerine sahip olabilir.

Bu durum, bütünlük ve eksiksizliğin neden farklı özellikler olduğunu daha da açık bir şekilde ortaya koymaktadır.

Bütünlük, eksiksizlikle aynı şey değildir.

Bir veri kümesi tamamen değişmeden kalabilir ve yine de bilgi eksikliği gösterebilir.

Örneğin, seçilen çıkarma yöntemi nedeniyle cihazın tüm verilerini içermese bile, mantıksal bir akıllı telefon veri çıkarma işlemi teknik olarak doğru olabilir.

Dolayısıyla bütünlük kontrolü, yedekleme yönteminin söz konusu meseleyle ilgili tüm bilgileri yakalayıp yakalayamadığı konusunda hiçbir şey söylemez.

Dürüstlük, doğrulukla aynı şey değildir.

Hatta gerçeğe aykırı bilgiler bile tamamen dürüst olabilir.

Birisi bir belgeye yanlış bilgi girerse ve dosya daha sonra değişmeden kalırsa, karma değeri yalnızca dosyanın değiştirilmediğini doğrular.

Söz konusu ifadenin doğru mu yanlış mı olduğuna karar veremez.

Dürüstlük, yazarlıkla aynı şey değildir.

Aynı karma değerine sahip iki dosya, içerik bakımından özdeş olabilir.

Ancak, dosyayı kimin oluşturduğunu belirleyemiyor.

Bilgileri bir kullanıcıya veya gerçek kişiye atamak için, ek kanıtların ve bağlamsal bilgilerin incelenmesi gerekir.

Veri hırsızlığı şüphesi durumlarında dürüstlüğün önemi nedir?

Veri hırsızlığı durumunda , dijital izler birden fazla sisteme yayılabilir.

Şirket bilgisayarında USB bellekten kaydedilmiş dosyalar, harici depolama aygıtında gizli dosyaların kopyaları ve sunucuda ek erişim kayıtları bulunabilir.

Bu bilgilerin karşılaştırılabilmesi için ilgili veri kaynaklarının açıkça belirlenmesi ve güvenliğinin sağlanması gerekmektedir.

Örneğin, karma değerler, harici bir ortamdaki bir dosyanın, bir şirketin arşivindeki bir dosyayla içerik olarak aynı olduğunu gösterebilir.

Ancak, kopyalama işleminin kendisi ve olaya karışan kişi, daha fazla kanıta dayanarak yeniden oluşturulmalıdır.

Uzman görüşünde dürüstlüğün rolü nedir?

Uzman raporunda, teknik bulguların hangi veri tabanına dayandığı belirtilmelidir.

Özellikle karmaşık dijital soruşturmalarda, soruşturma nesnelerinin, güvenlik yöntemlerinin ve ilgili bütünlük kontrollerinin izlenebilir bir şekilde belgelenmesi tavsiye edilir.

Bu, bilgili bir üçüncü tarafın, orijinal araştırma nesnesinden değerlendirilen veri kümesine giden yolu daha iyi anlamasına olanak tanır.

Bilişim ve mobil adli bilişim uzman ofisinin mevcut web sitesinde de anlaşılabilir delil saklama ve belgeleme gerekliliği açıklanmaktadır.

Pratik örnek: Şirket bilgisayarının sabit diski

Bir şirket, bir çalışanın şirketten ayrılmadan önce gizli verileri kopyaladığından şüpheleniyor.

Şirket bilgisayarının veri depolama aygıtı kontrollü koşullar altında yedeklenmektedir. Oluşturulan veri seti için bir SHA-256 değeri belgelenmektedir.

Asıl inceleme, çalışma örneği üzerinde gerçekleştirilir.

Birkaç ay sonra, ikinci bir uzman analizi gözden geçirecek. Bu inceleme başlamadan önce, arşivlenmiş giden yedeklemenin SHA-256 değeri tekrar hesaplanacak.

Bu değer, başlangıçta belgelenen değerle eşleşiyorsa, bu veri setinin orijinal yedeklemeden bu yana değişmeden kaldığı doğrulanabilir.

Pratik örnek: USB bellekteki gizli dosya

Şirket sunucusunda gizli bir proje dosyası bulunmaktadır. Yapılan bir soruşturma sırasında, aynı isimde bir dosya USB bellekte de bulunmuştur.

Dosya adı tek başına içeriğin aynı olduğuna dair yeterli kanıt değildir.

Her iki dosya da aynı SHA-256 değerini veriyorsa, bu durum, dosyaların özetlenmiş içeriklerinin özdeş olduğunu güçlü bir şekilde gösterir.

Ancak bu, dosyanın USB belleğe ne zaman aktarıldığını veya kimin kopyaladığını kanıtlamaz.

Pratik örnek: Messenger ekran görüntüsü

Bir kişi, iddia edilen bir mesajlaşma uygulaması sohbetinin ekran görüntüsünü teslim etti.

Ekran görüntüsü gönderildikten hemen sonra özetlenebilir (hashlenebilir). Bu sayede daha sonra tam olarak hangi görüntü dosyasının değiştirildiğini kontrol edebilirsiniz.

Ancak, karma değeri, gösterilen sohbetin iddia edilen akıllı telefonda gerçekten var olduğunu veya gösterilen mesajların gerçek olduğunu kanıtlamaz.

Daha detaylı bir inceleme için, orijinal veri kaynağı çok daha bilgilendirici olacaktır.

Pratik örnek: Akıllı telefon veri çıkarma

Bir adli bilişim aracı kullanılarak akıllı telefondan veri çıkarma işlemi gerçekleştirilir.

Elde edilen bu materyal daha sonra belgelenir ve değişikliklere karşı korunur.

Bütünlük kavramı artık tam olarak bu oluşturulan veri kümesini ifade etmektedir.

Çıkarılan dosyanın akıllı telefonda bulunan tüm bilgileri içerip içermediği ayrı bir sorudur ve cihaza, işletim sistemine, güvenlik durumuna ve çıkarma yöntemine bağlıdır.

Pratik örnek: Buluta dışa aktarma

Bir veri seti bulut hesabından dışa aktarılıyor. İndirme işlemi tamamlandıktan sonra, indirilen dosyalar yedekleniyor ve karma değerler oluşturuluyor.

Bu, ihraç edilen stokun değişmeden kalmasının izlenmesine olanak tanır.

Ancak, karma değeri, bulut sağlayıcısının var olan tüm verileri teslim ettiğini veya dışa aktarma işleminden önce hiçbir dosyanın silinmediğini kanıtlamaz.

Kanıt bütünlüğünün ele alınmasında yapılan tipik hatalar

Sık yapılan bir hata, aynı karma değerinin orijinalliğin tam kanıtı olarak kabul edilmesidir.

Aynı derecede sorunlu olan bir diğer nokta ise, adli kayıtların korunmasının tüm teknik koşullar altında, orijinal sistemin durumunda hiçbir değişiklik olmaksızın mümkün olması gerektiği varsayımıdır.

Bu durum, canlı sistemler ve akıllı telefonlar söz konusu olduğunda genellikle gerçekçi değildir. Kontrollü prosedürler ve şeffaf dokümantasyon çok önemlidir.

Hangi verinin özetlendiği belgelenmediğinde, farklı özetleme algoritmaları karşılaştırıldığında veya bütünlük ile eksiksizlik karıştırıldığında daha fazla hata meydana gelir.

Dürüstlük nasıl belgelenmelidir?

Belgelerde hangi araştırma nesnesinin veya hangi veri setinin incelendiği açıkça belirtilmelidir.

Karma kontrolünde, kullanılan algoritma ve elde edilen karma değerin ilgili veri kümesine açıkça atanabilir olması gerekir.

Vakaya bağlı olarak, zaman, kullanılan araç, delil tanımlayıcısı, görüntü dosyası ve meydana gelen okuma hataları gibi ek bilgiler de belgelenebilir.

Amaç, en kapsamlı dokümantasyonu kendi başına üretmek değil, ilgili soruşturma adımlarının teknik olarak izlenebilirliğini sağlamaktır.

Dijital kanıtların bütünlüğüne ilişkin SSS

Dijital kanıtların bütünlüğü ne anlama gelir, basitçe açıklayabilir misiniz?

Bütünlük, belirli bir dijital veri setinin, belgelenmiş bir referans noktasından bu yana değişip değişmediğinin doğrulanabilmesi anlamına gelir.

Dijital kanıtların bütünlüğü nasıl doğrulanır?

Önemli bir yöntem, kriptografik karma değerlerinin hesaplanmasıdır. Aynı tanımlanmış veri kümesi için aynı karma değeri, bütünlüğü üzerinde çok güçlü teknik kontrol sağlar.

Karma değer nedir?

Karma değeri, dijital bir veri kümesinin matematiksel olarak hesaplanmış bir sağlama toplamıdır. SHA-256 gibi modern yöntemler, diğer şeylerin yanı sıra, bütünlük kontrolü için kullanılır.

SHA-256 dijital kanıtlar için uygun mudur?

Evet. SHA-256, yerleşik bir kriptografik karma fonksiyonudur ve dijital veri kümelerinin modern bütünlük kontrolleri için uygundur.

Aynı karma değeri, bir dosyanın orijinalliğini kanıtlar mı?

Hayır. Bu, temel referans durumuna kıyasla değişmemiş durumu doğrular, ancak otomatik olarak orijinal özgünlüğü veya kaynağı teyit etmez.

Üzerinde değişiklik yapılmış bir dosya tamsayı olabilir mi?

Evet. Daha önce üzerinde değişiklik yapılmış bir dosya daha sonra özetlenirse ve tekrar değiştirilmezse, bu sonraki referans durumuna kıyasla bozulmamış kalır.

Dürüstlük, özgünlükle aynı şey midir?

Hayır. Bütünlük, değiştirilmemişliği tanımlar. Orijinallik ise gerçeklik ve köken sorusuyla ilgilidir.

Bütünlük, eksiksizlikle aynı şey midir?

Hayır. Değiştirilmemiş bir veri seti eksik olabilir. Örneğin, kullanılan yöntem mevcut verilerin yalnızca bir kısmını yakalayabilmiş olsa bile, akıllı telefon verilerinden yapılan bir veri çıkarma işlemi doğru olabilir.

Dürüstlük, delil değeriyle aynı şey midir?

Hayır. Bütünlük, verinin kalitesi ve değiştirilemezliği anlamına gelir. Bir verinin belirli bir durum için önemi ayrı olarak değerlendirilmelidir.

İki karma değer farklı olursa ne olur?

Bu durumda, özetlenmiş veri kümeleri birbirinden farklılık gösterir. Bu farklılıkların nedenleri araştırılmalıdır.

Farklı bir karma değeri manipülasyonu kanıtlar mı?

Otomatik olarak değil. Teknik hatalar, farklı veri aralıkları veya değişen konteyner durumları da farklı değerlere yol açabilir.

Ekran görüntüsü tam sayı olabilir mi?

Evet. Ekran görüntüsü dosyası karma algoritmasıyla işlenerek daha sonraki değişikliklere karşı kontrol edilebilir. Ancak bu, gösterilen içeriğin orijinalliğini otomatik olarak kanıtlamaz.

Normal bir dosya kopyalama işlemi tamsayı olabilir mi?

Evet. Kopyalanan dosyalar daha sonra karma değerleri kullanılarak kontrol edilebilir. Ancak bu, kopyanın orijinal depolama ortamının eksiksiz bir adli görüntüsünü temsil ettiği anlamına gelmez.

Yazma engelleyici neden kullanılır?

Bu özellik, orijinal veri taşıyıcısına istem dışı yazma erişimini önlemek ve böylece yedekleme sırasında gereksiz değişiklikleri azaltmak için tasarlanmıştır.

Her adli yedekleme işlemi için yazma engelleyici gerekli midir?

Hayır. Cihaz sınıfına ve yedekleme yöntemine bağlıdır. Akıllı telefonlar ve bazı canlı sistemler farklı prosedürler gerektirir.

Bir akıllı telefon, üzerinde herhangi bir değişiklik yapılmadan incelenebilir mi?

Bu durum her yerde garanti edilemez. Akıllı telefonlar dinamik sistemlerdir. Profesyonel adli bilişim, değişiklikleri en aza indirmeye ve teknik olarak gerekli müdahaleleri izlenebilir bir şekilde belgelemeye çalışır.

Açık olan bir bilgisayar değişmeden kalabilir mi?

Hayır. Çalışan bir işletim sistemi, geçici ve kısmen kalıcı verileri sürekli olarak değiştirir. Bu nedenle, canlı adli inceleme, kontrollü ve belgelenmiş müdahaleler gerektirir.

Bilgisayarı kapatmak delilleri yok edebilir mi?

Evet. Bu işlem sırasında geçici RAM içeriği kaybolur. Şifrelenmiş sistemlerde, daha önce şifresi çözülmüş bir durum da kaybolabilir.

Delillerin saklanma zinciri nedir?

Delil zincirini belgeleyen bu doküman, delillerin işlenmesini ve ilgili sorumluluk transferlerini veya değişikliklerini kaydeder. Teknik bütünlük kontrolünü tamamlar, ancak onun yerini almaz.

Karma değer, delil zincirinin yerini alabilir mi?

Hayır. Bir karma değer, bir veri kümesini kontrol eder. Hangi kişinin bir delil parçasını aldığını veya değiştirdiğini ve ne zaman yaptığını belgelemez.

Çalışma kopyaları üzerinde neden analiz yapılır?

Bu, birincil adli delilin referans olarak değişmeden kalmasına olanak tanırken, analiz araçları ayrı bir çalışma esasına göre kullanılır.

Okuma hatalarına rağmen adli bir görüntü kullanılabilir mi?

Evet. Elde edilen veriler araştırma için hâlâ oldukça değerli olabilir. Ancak, okuma hataları ve bunların düzeltilmesi belgelenmeli ve yorumlama sırasında dikkate alınmalıdır.

Bir uzmanın görüşü için yalnızca karma değer yeterli midir?

Hayır. Bu, bütünlük kontrolünün teknik bir bileşenidir. Doğrulanabilir bir uzman görüşü ayrıca uygun bir veri tabanı, belgelenmiş metodoloji, uzman analizi ve uygun yorumlama gerektirir.

Geçmişe dönük olarak bütünlük yeniden sağlanabilir mi?

Sonradan oluşturulan bir karma değer, o noktadan itibaren bir referans durumu tanımlayabilir. Ancak, o noktadan önceki verilerin değişmeden kaldığını geriye dönük olarak kanıtlayamaz.

İlk yedeklemenin zamanlaması neden bu kadar önemli?

İlgili verilerin kontrollü bir şekilde yedeklenmesi ne kadar erken yapılırsa, sonraki durumları da o kadar net bir şekilde belgelenebilir. Yedeklemeden önce meydana gelen değişiklikler, daha sonraki bütünlük kontrolleriyle geri alınamaz.

Dijital kanıtların bütünlüğünün gerçekte ne söylediği

Dijital kanıtların bütünlüğü, açıkça tanımlanmış bir soruyu yanıtlar: İncelenen veri seti, belgelenmiş referans setiyle hala aynı mı?

Bu ifade, profesyonel dijital adli bilişim için son derece değerlidir, ancak aşırı yorumlanmamalıdır.

Bütünlük, dijital bir delilin orijinalliğini, eksiksizliğini, doğruluğunu, yazarlığını veya hukuken kabul edilebilirliğini otomatik olarak kanıtlamaz.

Dolayısıyla güvenilir bir soruşturma, çeşitli seviyeleri bir araya getirir: kontrollü veri yedeklemesi, veri kaynağının net bir şekilde belirlenmesi, bütünlük testi, izlenebilir bir kanıt zinciri ve profesyonelce yapılmış sağlam bir analiz.

Bu ayrım, yanlış yorumlamaları önler. Bir karma değeri, mutlak bir orijinallik garantisi anlamına gelmez; adli bir kopya otomatik olarak eksiksiz bir kanıt niteliği taşımaz ve teknik olarak sağlam bir veri seti, daha fazla inceleme yapılmadan kanıtlanmış bir olgusal iddia haline gelmez.

Dolayısıyla, mesleki kanıt bütünlüğü her şeyden önce tek bir anlama gelir: hangi veri setinin incelendiğini, nasıl elde edildiğini ve değiştirilmemiş halinin hangi teknik temele dayanarak doğrulanabileceğini her zaman anlaşılır bir şekilde açıklayabilmek.

Bilgi özetine geri dön